Okta身份驗證和OAuth來保護API

Question

我正在為我的員工創建一個Android應用程序，該應用程序將要求銷售人員使用Okta身份驗證登錄（我打算使用他們的身份驗證api）。 我的問題是如何保護我的代碼將從android應用程序調用的WEB API。 我應該使用Okta的OAuth實現來做到這一點嗎？

我當時想的是，如果我使用Okta的身份驗證（讓他們登錄），我還可以調用OAuth API來檢索令牌，然后再訪問令牌。 然后，我可以通過檢查從Okta收到的訪問令牌來鎖定API。

您認為這是使用Okta做到這一點的最佳方法嗎？

謝謝！

Answer 1

2016年8月18日更新：我們現在在https://github.com/raphaellondner-okta/okta-oauth-xamarin-android-customtabs提供了Xamarin代碼示例

從2016年8月18日開始，您將需要稍微修改版本的IdentityModel.OidcClient（ https://github.com/raphaellondner-okta/IdentityModel.OidcClient/tree/rl-pkce-secretless ）以使其與Okta一起使用和PKCE。 希望這些提議的更改將很快進入master分支。

原始答案：我建議您看一下我們的OAuth Android示例， 網址為https://github.com/oktadeveloper/okta-openidconnect-appauth-sample-android （我們利用AppAuth既可以使用Okta進行身份驗證，也可以使用OAuth和我們的OAuth功能）。

我們還沒有Xamarin示例，但是一般的想法是使用嵌入式瀏覽器來利用OAuth授權代碼流來調用Okta / authorize端點，在瀏覽器響應URL中獲取從Okta返回的代碼（作為片段）並將其傳遞給您的移動應用，以交換訪問令牌的代碼。

我們的OAuth功能仍處於測試階段，因此，如果需要訪問它們，請通過okta dot com與開發人員聯系。